En 2022, el 41% de las organizaciones informaron que experimentaron tres o más eventos de riesgo críticos en los últimos 12 meses.

Si usted está entre las organizaciones que están siendo bombardeadas por eventos de riesgo, entonces necesita una estrategia de gestión de riesgos sólida para ayudarlo a volverse más resiliente.

¿Qué es una estrategia de gestión de riesgos?

Una estrategia de gestión de riesgos es una estrategia que aborda cómo una organización pretende identificar, evaluar, responder y monitorear el riesgo. También puede prescribir políticas, procedimientos y metodologías para realizar estas actividades de evaluación de riesgos, respuesta a riesgos y monitoreo de riesgos.

Una estrategia efectiva de gestión de riesgos debe considerar lo siguiente:

• Preocupaciones y prioridades de los interesados
• Las políticas y procedimientos de la organización
• Los recursos financieros y las inversiones heredadas de la organización
• La cultura de la organización
• Los objetivos a largo plazo de la organización
• La tolerancia al riesgo de la organización
• El entorno interno de la organización
• Los controles existentes que mitigan el riesgo
• Todas las categorías o tipos de riesgos, incluidos operacionales, financieros y de cumplimiento
• Cómo se identifican, evalúan y mitigan los riesgos
• Cómo se documentan y comunican los riesgos
• Cómo se monitorean continuamente los riesgos, controles y objetivos

¿Por qué es importante una estrategia de gestión de riesgos?

Tener una estrategia de gestión de riesgos es importante para dar forma al proceso de gestión de riesgos de una organización, incluida la selección y evaluación de controles de seguridad, la planificación de contingencias y las decisiones de autorización del sistema. También es importante para guiar tanto las decisiones de inversión como las operativas.

A continuación, veremos más de cerca el proceso de gestión de riesgos, que debe estar abarcado por la estrategia de gestión de riesgos de la organización.

Pasos en la gestión de riesgos

La gestión de riesgos puede verse como un proceso continuo que comprende los siguientes componentes.

1. Enmarcar el riesgo

Enmarcar el riesgo es un primer paso crítico en la gestión de riesgos. Implica describir el entorno de riesgo en términos de:

• Suposiciones de riesgo (suposiciones sobre las amenazas para las que la organización debe estar preparada)
• Restricciones de riesgo (requisitos legales, regulatorios y contractuales)
• Tolerancia al riesgo
• Prioridades y compensaciones organizacionales

El enmarcado del riesgo también puede incluir información sobre las herramientas o técnicas utilizadas para apoyar las actividades de gestión de riesgos de la organización.

Solo después de haber establecido un contexto de riesgo puede crear una estrategia de gestión de riesgos que proporcione a la organización una perspectiva común para evaluar, responder y monitorear los riesgos.

2. Evaluación de riesgos

La evaluación de riesgos implica identificar los riesgos y evaluar la probabilidad de que ocurran y el impacto potencial que pueden causar al negocio si ocurren. La evaluación de riesgos también debe involucrar la determinación del costo de implementar estrategias para mitigar, reducir o eliminar los riesgos.

Todos los riesgos deben ser identificados y rastreados en un solo lugar, a menudo llamado registro de riesgos, que luego puede ser revisado y actualizado regularmente con nuevos riesgos, así como con planes de respuesta y notas de resolución.

3. Respuesta al riesgo

A continuación, su organización debe responder a cada riesgo. Hay cuatro respuestas comunes:

Evitación del riesgo

La evitación del riesgo es ideal si desea eliminar completamente la exposición a un riesgo. Por ejemplo, puede optar por no recopilar datos sensibles de los clientes para evitar los riesgos asociados con mantener esos datos seguros. O puede optar por no integrar su sistema de seguridad de la información con otras aplicaciones para reducir los riesgos para su sistema.

En ambos casos, esta respuesta al riesgo requiere que limite su negocio de alguna manera. Es por eso que cualquier riesgo que evite debe ser reevaluado más adelante con el objetivo de encontrar otra respuesta al riesgo que aborde los problemas subyacentes.

Aceptación del riesgo

Al igual que la evitación del riesgo, la aceptación del riesgo significa que no se tomará ninguna acción para abordar el riesgo en cuestión. Pero en este caso, la organización debe estar dispuesta a exponerse a cualquier vulnerabilidad que conlleve el riesgo.

Puede optar por esta respuesta si el riesgo es poco probable que ocurra, o que tenga un impacto significativo si ocurre. En este caso, el costo para mitigar o evitar estos riesgos es demasiado alto para justificarlo, dado la pequeña probabilidad o el impacto estimado de que ocurran los riesgos. Por ejemplo, puede optar por mantener los sistemas heredados activos si no están conectados a entornos de datos sensibles porque los costos y recursos requeridos para retirarles son demasiado altos.

Mitigación del riesgo

La mitigación del riesgo es la respuesta al riesgo más común. Implica reducir la probabilidad o el impacto de un riesgo mediante la implementación de controles o contramedidas. Por ejemplo, la supervisión continua puede ayudar a mitigar los riesgos de cumplimiento al alertarle automáticamente de las no conformidades.

Transferencia del riesgo

La transferencia del riesgo es otra forma de reducir los riesgos que enfrenta una organización que implica cambiar contractualmente el riesgo a un tercero, típicamente por una tarifa continua. A diferencia de la mitigación del riesgo, la transferencia de riesgos no cambia la magnitud, probabilidad o impacto del riesgo. En su lugar, transfiere toda la responsabilidad asociada con el riesgo a otra parte.

Si solo se transfiere parte de la responsabilidad asociada con el riesgo a otra parte, eso se considera una compartición de riesgos.

La estrategia de gestión de riesgos de una organización puede limitar su respuesta al riesgo. Por ejemplo, puede tener un compromiso con tecnologías específicas que le impide transferir el riesgo de ciertos servicios a un tercero. Eso significa que su organización tendrá que diseñar e implementar planes de tratamiento de riesgos y controles para mitigar o aceptar esos riesgos en su lugar.

4. Supervisión del riesgo

Finalmente, los riesgos, así como las actividades de evaluación y respuesta a los riesgos, deben ser monitoreadas continuamente para asegurar que su organización esté gestionando adecuadamente el riesgo. Esto es particularmente importante a medida que su negocio crece y los estándares de la industria y las amenazas cambian con el tiempo. Aquí es donde también entra en juego un registro de riesgos.

Ejemplos de estrategias de gestión de riesgos

Las estrategias de gestión de riesgos difieren dependiendo de cómo los diversos interesados enmarquen el riesgo, incluidos cuáles amenazas y daños potenciales o consecuencias adversas les preocupan, cuáles son sus tolerancias al riesgo y qué concesiones de riesgo están dispuestos a hacer.

Veamos un par de ejemplos a continuación.

Diversificación

La diversificación es una estrategia de gestión de riesgos que se refiere típicamente en el contexto de la agricultura y la inversión. Cualquier empresa, sin embargo, puede emplear esta estrategia al expandir operaciones y/o sus productos y servicios a nuevos mercados o industrias. De esta manera, si un producto o mercado falla, los otros pueden mantener a flote su negocio mientras persigue otras oportunidades.

Integración vertical

La integración vertical es una estrategia para gestionar el riesgo de la cadena de suministro. Con esta estrategia, una empresa toma la propiedad directa de varias etapas de su proceso de producción al establecer sus propios proveedores, fabricantes, distribuidores o ubicaciones de venta al por menor o adquirir los ya existentes, de modo que no dependa de contratistas o proveedores externos.

Contratación

La contratación, o subcontratación, es el lado opuesto de la integración vertical. Implica contratar algunas de las operaciones de su negocio, como nómina y tecnología de la información, a proveedores de servicios externos para que asuman parte de la carga operativa y el riesgo. Sin embargo, esto también introduce riesgos de terceros que deben gestionarse.